Infecté par le virus win32 : Beagle - YNRésolu/Fermé

Question

Bonjour,
J'ai suivi le post de dovstoi...
voici mon problème :
le virus a desactivé les connexion  internet depuis ma machine (wireless)
les antivirus ne s'executent pas cependant j'ai réussi à executer avast au démarage qui a detecté un Beagle - YN, !je crois! 
j'ai ensuite essayé la procédure navilog1.exe puis clean.cmd qui donne les logs suivants:

clean s'est arrêté !je crois! au milieu de la detection (pas de message de fin)

Pouvez-vous, s'il vous plaît considérer ce message... je suis vraiment bloqué.
j'ai voulu gagner du temps en exécutant la même procédure mais celà n'a pas avancé à grand chose. sorry

j'ai chargé combofix mais l'exécution affiche : combofix n'est pas une application win32 valide comme pour l'ensemble des antivirus...

Merci d'avance



Search Navipromo version 3.4.2 commencé le 29.01.2008 à 19:07:42.70

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Mise à jour le 27.01.2008 à 17h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11 
Système de fichiers : NTFS

Executé en mode normal

*** Recherche Programmes installés ***




*** Recherche dossiers dans C:\WINDOWS ***



*** Recherche dossiers dans C:\Program Files ***



*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***




*** Recherche dossiers dans "C:\Documents and Settings\Cyril\application data" *** 



*** Recherche dossiers dans "C:\Documents and Settings\Cyril\local settings\application data" *** 



*** Recherche dossiers dans "C:\Documents and Settings\Cyril\MENUDM~1\PROGRA~1" *** 


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Fichier(s) caché(s) :

C:\WINDOWS\system32\drivers\hldrrr.exe



*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans C:\WINDOWS\system32 *

* Recherche dans "C:\Documents and Settings\Cyril\local settings\application data" * 



*** Recherche fichiers *** 




*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans C:\WINDOWS\system32 :


* Dans "C:\Documents and Settings\Cyril\local settings\application data" : 


3)Recherche Certificats :

Certificat Egroup absent !

4)Recherche fichiers connus :



*** Analyse terminée le 29.01.2008 à 19:14:42.78 ***





Clean Navipromo version 3.4.2 commencé le 29.01.2008 à 19:21:08.90

Outil exécuté depuis C:\Program Files
avilog1
Mise à jour le 27.01.2008 à 17h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.11
Système de fichiers : NTFS

Mode suppression automatique 
avec prise en charge résultats Catchme et GNS


*** Creation backups fichiers trouvés par Catchme *** 

Copie vers "C:\Program Files
avilog1\Backupnavi"

Copie C:\WINDOWS\system32\drivers\hldrrr.exe réalisée avec succès ! 

*** Suppression des fichiers trouvés avec Catchme ***

C:\WINDOWS\system32\drivers\hldrrr.exe !!ERREUR SUPPRESSION!! 
 
** 2ème passage avec résultats Catchme ** 

* Dans C:\WINDOWS\system32 *


C:\WINDOWS\prefetch\hldrrr*.pf trouvé ! 
Copie C:\WINDOWS\prefetch\hldrrr*.pf réalisée avec succès !
C:\WINDOWS\prefetch\hldrrr*.pf supprimé !

* Dans "C:\Documents and Settings\Cyril\local settings\application data" * 


*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans C:\WINDOWS\System32 *


* Suppression dans "C:\Documents and Settings\Cyril\local settings\application data" * 



*** Suppression dossiers dans C:\WINDOWS ***


*** Suppression dossiers dans C:\Program Files ***


*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\APPLIC~1 ***


*** Suppression dossiers dans "C:\Documents and Settings\Cyril\application data" *** 


*** Suppression dossiers dans "C:\Documents and Settings\Cyril\local settings\application data" *** 


*** Suppression dossiers dans "C:\Documents and Settings\Cyril\MENUDM~1\PROGRA~1" *** 


*** Suppression dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***



*** Suppression fichiers ***


*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Cyril\local settings\Temp effectué !

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :


* Dans C:\WINDOWS\system32 *


* Dans "C:\Documents and Settings\Cyril\local settings\application data" * 


*** Sauvegarde du Registre vers dossier Backupnavi ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok


*** Certificats ***

Certificat Egroup absent !

*** Nettoyage terminé le 29.01.2008 à 19:24:45.01 ***




Rapport clean par Malekal_morte - http://www.malekal.com 
Script execute en mode sans echec 29.01.2008 a 19:36:00.01 

Microsoft Windows XP [version 5.1.2600]
 
*** Suppression des fichiers dans C: 
 
*** Suppression des fichiers dans C:\WINDOWS\ 
 
*** Suppression des fichiers dans C:\WINDOWS\system32 
tentative de suppression de C:\WINDOWS\system32\wintems.exe 
Impossible de supprimer C:\WINDOWS\system32\wintems.exe

Utilisateur anonyme · Answer

Lut'

Va sur ce site :

http://www.zonavirus.com/datos/descargas/95/elibagla.asp

En bas de cette page tu trouveras un outil à télécharger, clique sur "Descargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)
installe ce fichier sur le bureau.
ensuite double-clic sur Elibagla.exe

Vérifie que la case "eliminar ficheros automaticamente" est cochée

Clique sur  "explorar"  puis laisse-le travailler.
                     
Puis poste moi le rapport situé dans C:\infosat.txt

a+

cyril · Answer

Merci pour ton aide ! C'est vraiment sympa...

je suis tes instructions: voici le fichier

il a détecté qqch cependant à 3 reprises il m'a affiché un message genre 'peut pas accédé au fichier ....'

qu'en penses-tu


	  Tue Jan 29 20:13:42 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
Por favor, envienos una muestra del fichero
C:\Muestras\SROSA.SYS.Muestra EliBagle v10.93
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.93
 a "virus@satinfo.es".  Gracias.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.
Restaurada Clave: "SafeBoot\Minimal y Network"

	  Tue Jan 29 20:14:36 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   9189
Nº Total de Ficheros:      101494
Nº de Ficheros Analizados: 12756
Nº de Ficheros Infectados: 1
Nº de Ficheros Limpiados:  0

Utilisateur anonyme · Answer

Re

Entre cyril c'est normal ;)

******************

Lance ton pc en MSE , avec prise en charge réseaux Afin d'avoir Internet.  Puis cela fait ,

Va sur ce site , /!\ Internet Explorer obligatoire /!\ , Clique sur ' J'accepte '  , Installe les ActiveX si necessaire. Clique sur ' installer ' puis ' click here to scan '( ou : cliquez ici pour scanner ).
Et poste moi le rapport.

/!\ NE VA QUE SUR CE SITE /!\

Puis par le même occasion 

Peux tu envoyer ce fichier " C:\Muestras\SROSA.SYS.Muestra EliBagle v10.93 "  à l'adresse virus@satinfo.es ainsi que ce fichier " C:\Muestras\HLDRRR.EXE.Muestra EliBagle v10.93  " à la même adresse stp ?


a+

cyril · Answer

sorry,

pas moyen d'établir une connexion internet avec cette machine...

as-tu une autre approche à proposer ?
je peux faire des transferts de fichiers via un disk externe

j'envoie les fichiers au site espagnol.

Utilisateur anonyme · Answer

Okk , avant de lancer des programmes de désinfections puissants , fait ceci :


Télécharge HJT

Place le dans '  C:\programmes\  '  Une fois cela fait , merci de renommer le fichier ' Hijackthis.exe ( dans le dossier dans C:\ ) en HJT.exe

Puis lance-le et choisi l'option '' do a system scan and save a logfile '' et poste moi le rapport ( qui apparait sur le bloc-note )


A+

cyril · Answer

je ne peux pas le lancer...
hijackthis n'est pas une application win 32 valide !!

Utilisateur anonyme · Answer

Lance-le en MSE alors stp.

A+

cyril · Answer

voila qqch d'intéressant:
htj.exe en mode sans échec (tel que installé avant) était invalidé mais après réinstallation en mode sans échec et il fait la détection

ca avance....



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:04:41, on 29.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Safe mode with network support

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [AppleTime] C:\WINDOWS\system32\AppleTime.exe
O4 - HKLM\..\Run: [Brightness] C:\WINDOWS\system32\Brightness.exe
O4 - HKLM\..\Run: [Apple_KbdMgr] "C:\Program Files\Apple Keyboard Support\KbdMgr.exe"
O4 - HKLM\..\Run: [SigmatelSysTrayApp] sttray.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [vspdfprsrv.exe] C:\Program Files\Visage\PDF Printer\vspdfprsrv.exe --background
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [WinMem] C:\Program Files\WinCleaner Memory Optimizer\WinMemOpt.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-21-507921405-1214440339-725345543-1003\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: EPFL VPN Client.lnk = C:\Program Files\EPFL\VPN Client\vpngui.exe
O4 - Global Startup: Logitech SetPoint.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Statistiques d’Anti-Virus Internet - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O9 - Extra button: Run WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra 'Tools' menuitem: Launch WinHTTrack - {36ECAF82-3300-8F84-092E-AFF36D6C7040} - C:\Program Files\WinHTTrack\WinHTTrackIEBar.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Fichiers communs\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: ArcGIS License Manager - Unknown owner - C:\PROGRA~1\ESRI\License\arcgis9x\lmgrd.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\EPFL\VPN Client\cvpnd.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\WINDOWS\system32\STacSV.exe

loick · Answer

Bonsoir J'ai le même pb
J'ai fait la même manip et voici le fichier:

	  Tue Jan 29 23:03:24 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):
C:\WINDOWS\SYSTEM32\WINTEMS.EXE --> Bagle Acceso Denegado.
C:\WINDOWS\SYSTEM32\BAN_LIST.TXT --> Eliminado Bagle
C:\WINDOWS\SYSTEM32\DRIVERS\SROSA.SYS --> Bagle (rootkit) Acceso Denegado.
C:\WINDOWS\SYSTEM32\DRIVERS\HLDRRR.EXE --> Bagle Acceso Denegado.
Por favor, envienos una muestra del fichero
C:\Muestras\FLEC006.EXE.Muestra EliBagle v10.93
 a "virus@satinfo.es".  Gracias.
C:\DOCUMENTS AND SETTINGS\ADMINISTRATEUR\APPLICATION DATA\M\FLEC006.EXE --> Bagle Acceso Denegado.
C:\DOCUMENTS AND SETTINGS\ADMINISTRATEUR\APPLICATION DATA\M\LIST.OCT --> Eliminado Bagle
Restaurada Clave: "SafeBoot\Minimal y Network"

	  Tue Jan 29 23:03:49 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\
C:\WINDOWS\system32\drivers\down\14597546.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\29082046.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\43560218.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\58055140.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\67000.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\72546250.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\73390.EXE --> Eliminado Bagle.dldr
C:\WINDOWS\system32\drivers\down\867843.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\90637031.EXE --> Eliminado Bagle
C:\WINDOWS\system32\drivers\down\90653015.EXE --> Eliminado Bagle.dldr

Nº Total de Directorios:   3202
Nº Total de Ficheros:      31537
Nº de Ficheros Analizados: 8473
Nº de Ficheros Infectados: 10
Nº de Ficheros Limpiados:  10

Que dois-je faire maintenant?
merci de ta réponse

Utilisateur anonyme · Answer

Re

Rien de visible dans ton log Hijackthis ... :/ 

Merci de télécharger et de lancer l'un après l'autre ( pas les 2 en même temps )



https://www.broadcom.com/support/security-center

Puis

https://www.broadcom.com/support/security-center



Puis poste les rapports si il y a.

A+

loick · Answer

pardon je ne savais pas je poste un nouveau message
mille excuses

cyril · Answer

voici pour fxbeagle

je teste l'autre !

j'ai fais à l'envers, c'est pas grave j'espère ?


W32.Beagle@mm/Trojan.Tooso FixTool   1.13.0


C:\Documents and Settings\Cyril\Mes documents\Ma musique\iTunes\iTunes Music\Johann Sebastian Bach\??? ???????????-?????? 2: (not scanned)
C:\Program Files\Rhinoceros 4.0\Tutorials(??): (not scanned)
C:\System Volume Information: (not scanned)
W32.Beagle, Trojan.Tooso have not been found on your computer.

Utilisateur anonyme · Answer

Pas grave continu ;)

A+

cyril · Answer

he bien non...
je suis un peu déçu !

il ne trouve pas 



C:\Documents and Settings\Cyril\Mes documents\Ma musique\iTunes\iTunes Music\Johann Sebastian Bach\??? ???????????-?????? 2: (not scanned)
C:\Program Files\Rhinoceros 4.0\Tutorials(??): (not scanned)
C:\System Volume Information: (not scanned)
F:\downloads\Rhino v4.0 full.2 crks.All tutorials & Docs ENG ONLY\Tutorials(??): (not scanned)
W32.Beagle.[M-O] has not been found on your computer.


as tu d'autres astuces en stock ?

Utilisateur anonyme · Answer

Re

Oui , mais on continuera demain si tu le veux bien ;)

a+

cyril · Answer

merci pour tout cyril !

bonne soirée...
et à demain

Utilisateur anonyme · Answer

Re

Télécharge http://www.f-secure.com/tools/f-bagle.exe  , enregistre-le sur ton bureau.

Double clique sur l'icône jaune -> Une fenêtre noire va s'ouvrir , laisse-la travailler.

Puis poste moi le rapport si il y a.

a+

cyril · Answer

Bonjour !
suite des opérations...

j'ai lancé escan antivirus en mode sans échec et il m'a trouvé un 
trojan.win32.pakes.pwy

j'ai également fait la manip avec regedit pour réstaurer la connexion wireless,
je reboot et je teste

Utilisateur anonyme · Answer

Ok =)

a+

cyril · Answer

J'ai déjà fait tourner f-bagle...
il ne dit rien !

j'ai réparé une partie du problème de connexion mais ca ne marche toujours pas.
j'ai toujours un refus de démarage de kaspersky.

comment on s'y prend ?

Utilisateur anonyme · Answer

Okk Lit attentivement ce qui suit

Désactive ta restauration système
Clic sur « Démarrer »
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu y coches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 


Télécharge ComboFix ici &#8594; http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

Et enregistre le sur le bureau >>> ! IMPORTANT !

Regardes ici, si tu souhaites te familiariser avec son utilisation: http://mickael.barroux.free.fr/securite/combofix.php

 AVANT d'utiliser ComboFix :
&#8594; Déconnecte ton PC d'Internet et referme les fenêtres de tous les programmes en cours.   /!\
&#8594; Désactive provisoirement (et seulement le temps de l'utilisation de ComboFix), la protection en temps réel de ton Antivirus et de tes Antispywares, (activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil). /!\

Sur ton bureau double clic sur Combofix.exe.
Appuies sur la touche 1, pour que le programme commence à s'exécuter et suis les instructions à l'écran.

/!\ PENDANT TOUTE la durée (ça peut être assez long si le pc est très infecté) du scan de ComboFix, n'ouvres aucun programme, ne touche pas à ta souris et ne surfe pas sur le net /!\

Soit patient (même si tu penses que le PC est arrêté) ; les temps « d'arrêt apparent » sont parfois de plusieurs minutes (il y a ± 40 étapes d’analyse).

En cours de nettoyage il est possible, que tu reçoives un avertissement te disant que le pc va redémarrer, laisse le faire.

Après le redemarrage du pc, un rapport s'ouvrira dans le Bloc notes en fin d'analyse, copie et colle tout son contenu dans ton prochain message.

(Le fichier rapport Combofix.txt , est ensuite automatiquement sauvegardé dans C:\Combofix.txt)

Ensuite réactive ta restauration système
Clic droit sur « Poste de travail », puis sur « Propriétés »,
Vas sur l’onglet « Restauration système »
Tu décoches la case « Désactiver la restauration »
Termine par [Appliquer] [OK] 

A+

cyril · Answer

merci pour cette réponse, on va essayer.

mais avant :
en MSE je n'ai pas d'onglet restauration système.
est-ce que je l'execute en mode 'avec échec' ou c'est ok ?
je crois avoir déjà desactivé cette option hier...
je reboot ?

ps: le site ne marche pas:
http://mickael.barroux.free.fr/securite/combofix.php

Utilisateur anonyme · Answer

Ben disons que la restauration , c'est important , car si Combo fait tout planter , tu seras heureux d'avoir un point de restauration saint...

Regarde voir en mode normal pour la restau

Passe Combofix en MSE.

A+

Ps:tuto ;) >> https://www.google.fr/?gws_rd=ssl

cyril · Answer

ca marche !!!! j'ai de nouveau une connexion internet voici le log ComboFix 08-01-30.6 - Cyril 2008-01-30 13:22:49.2 - NTFSx86 MINIMAL Endroit: C:\Documents and Settings\Cyril\Bureau\ComboFix.exe [color=red][b]AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !![/b][/color] . (((((((((((((((((((((((((((((((((((( Autres suppressions )))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\drivers\down C:\WINDOWS\system32\drivers\down\127500.exe C:\WINDOWS\system32\drivers\down\127843.exe C:\WINDOWS\system32\drivers\down\132625.exe C:\WINDOWS\system32\drivers\down\143734.exe C:\WINDOWS\system32\drivers\down\169015.exe C:\WINDOWS\system32\drivers\down\169593.exe C:\WINDOWS\system32\drivers\down\185359.exe C:\WINDOWS\system32\drivers\down\199421.exe C:\WINDOWS\system32\drivers\down\205187.exe C:\WINDOWS\system32\drivers\down\207421.exe C:\WINDOWS\system32\drivers\down\212609.exe C:\WINDOWS\system32\drivers\down\217531.exe C:\WINDOWS\system32\drivers\down\218828.exe C:\WINDOWS\system32\drivers\down\219031.exe C:\WINDOWS\system32\drivers\down\219281.exe C:\WINDOWS\system32\drivers\down\222671.exe C:\WINDOWS\system32\drivers\down\224375.exe C:\WINDOWS\system32\drivers\down\231734.exe C:\WINDOWS\system32\drivers\down\244078.exe C:\WINDOWS\system32\drivers\down\248015.exe C:\WINDOWS\system32\drivers\down\265859.exe . ((((((((((((((((((((((((((((((((((((((( Drivers/Services ))))))))))))))))))))))))))))))))))))))))))))))))) . -------\LEGACY_SROSA ((((((((((((((((((((((((((((( Fichiers cr‚‚s 2007-12-28 to 2008-01-30 )))))))))))))))))))))))))))))))))))) . 2008-01-30 13:31 . 2008-01-30 13:31 d-------- C:\WINDOWS\system32\drivers\down 2008-01-30 12:29 . 2008-01-30 12:29 0 --a------ C:\23990098.$$$ 2008-01-29 23:30 . 2008-01-29 23:30 d-------- C:\Kaspersky 2008-01-29 22:58 . 2008-01-29 21:01 396,288 --a------ C:\HTJ.exe 2008-01-29 22:34 . 2008-01-30 13:31 26,656 --ahs---- C:\WINDOWS\system32\drivers\fidbox.dat 2008-01-29 22:34 . 2008-01-30 13:31 1,568 --ahs---- C:\WINDOWS\system32\drivers\fidbox2.dat 2008-01-29 22:34 . 2008-01-30 13:17 1,364 --ahs---- C:\WINDOWS\system32\drivers\fidbox.idx 2008-01-29 22:34 . 2008-01-30 13:17 1,196 --ahs---- C:\WINDOWS\system32\drivers\fidbox2.idx 2008-01-29 20:59 . 2008-01-29 20:59 d-------- C:\Program Files\Trend Micro 2008-01-29 20:13 . 2008-01-29 20:13 d-------- C:\Muestras 2008-01-29 20:06 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe 2008-01-29 19:20 . 2008-01-29 19:20 91,492 --a------ C:\WINDOWS\system32\drivers\klin.dat 2008-01-29 19:20 . 2008-01-29 19:20 85,860 --a------ C:\WINDOWS\system32\drivers\klick.dat 2008-01-29 19:18 . 2008-01-29 19:18 d-------- C:\Program Files\Kaspersky Lab 2008-01-29 19:18 . 2008-01-29 19:18 d-------- C:\Documents and Settings\All Users\Application Data\Kaspersky Lab 2008-01-29 19:17 . 2008-01-29 19:17 d-------- C:\kav 2008-01-29 19:06 . 2008-01-29 20:06 d-------- C:\Program Files\Navilog1 2008-01-29 17:54 . 2008-01-29 17:54 d-------- C:\Program Files\Alwil Software 2008-01-29 14:48 . 2005-03-30 09:14 1,867,776 --a------ C:\WINDOWS\system32\python24.dll 2008-01-29 14:47 . 2008-01-29 15:08 d-------- C:\Documents and Settings\Cyril\Application Data\ESRI 2008-01-29 14:36 . 2008-01-29 14:36 d-------- C:\Documents and Settings\All Users\Application Data\ESRI 2008-01-29 14:34 . 2008-01-29 14:34 d-------- C:\Program Files\Leica Geosystems 2008-01-29 14:34 . 2008-01-29 14:36 d-------- C:\Program Files\Fichiers communs\ESRI 2008-01-29 14:30 . 2008-01-29 14:48 d-------- C:\Python24 2008-01-29 14:30 . 2008-01-29 14:30 d-------- C:\Program Files\Fichiers communs\AnswerWorks 4.0 2008-01-29 14:30 . 2008-01-29 14:35 d-------- C:\Program Files\ArcGIS 2008-01-29 14:07 . 2008-01-29 14:07 d-------- C:\Program Files\NCH Software 2008-01-29 13:47 . 2008-01-29 13:47 d-------- C:\flexlm 2008-01-29 13:47 . 2008-01-29 13:47 d-------- C:\Documents and Settings\All Users\Application Data\Macrovision 2008-01-29 13:32 . 2008-01-29 13:32 d-------- C:\Program Files\Rainbow Technologies 2008-01-29 13:32 . 2008-01-29 13:32 d-------- C:\Program Files\ESRI 2008-01-24 17:50 . 2008-01-24 17:50 d-------- C:\Program Files\Fichiers communs\McNeel Shared 2008-01-24 17:49 . 2008-01-24 17:53 d-------- C:\Program Files\Rhinoceros 4.0 2008-01-23 19:21 . 2007-03-08 00:51 129,784 --------- C:\WINDOWS\system32\pxafs.dll 2008-01-23 11:43 . 2008-01-29 17:46 d-------- C:\Downloads 2008-01-23 00:03 . 2008-01-23 00:07 d-------- C: emp\Naruto - Sakuraan [english] 2008-01-23 00:02 . 2008-01-23 00:07 d-------- C: emp\Naruto - Narupo [English] 2008-01-23 00:02 . 2008-01-23 00:57 d-------- C: emp\Doujnshis Naruto Hentai y Yaoi By Beatrix 2008-01-22 19:02 . 2008-01-22 19:02 d-------- C:\Documents and Settings\All Users\Application Data\Equation Wizard 2008-01-22 14:02 . 2008-01-22 14:02 d-------- C:\Program Files\Equation Wizard 2008-01-17 21:38 . 2008-01-17 21:38 1,409 --a------ C:\WINDOWS\QTFont.for 2008-01-17 21:37 . 2008-01-17 21:38 d-------- C:\Program Files\iTunes 2008-01-17 21:37 . 2008-01-17 21:37 d-------- C:\Program Files\iPod 2008-01-10 15:27 . 2008-01-10 15:27 90,112 --a------ C:\WINDOWS\system32\QuickTimeVR.qtx 2008-01-10 15:27 . 2008-01-10 15:27 57,344 --a------ C:\WINDOWS\system32\QuickTime.qts 2007-12-28 21:04 . 2004-08-03 22:58 207,360 --a------ C:\WINDOWS\system32\drivers\Dot4.sys 2007-12-28 21:04 . 2004-08-03 22:58 207,360 --a--c--- C:\WINDOWS\system32\dllcache\dot4.sys 2007-12-28 21:04 . 2001-08-23 17:11 24,064 --a------ C:\WINDOWS\system32\drivers\Dot4usb.sys 2007-12-28 21:04 . 2001-08-23 17:11 24,064 --a--c--- C:\WINDOWS\system32\dllcache\dot4usb.sys 2007-12-28 21:04 . 2001-08-17 21:47 12,928 --a------ C:\WINDOWS\system32\drivers\Dot4Prt.sys 2007-12-28 21:04 . 2001-08-17 21:47 12,928 --a--c--- C:\WINDOWS\system32\dllcache\dot4prt.sys 2007-12-23 12:15 . 2007-12-23 12:15 d-------- C:\Program Files\WinHTTrack 2007-12-23 12:15 . 2007-12-23 12:19 d-------- C:\My Web Sites 2007-12-18 00:44 . 2007-12-18 00:44 219,664 --a------ C:\WINDOWS\system32\klogon.dll 2007-12-18 00:43 . 2007-12-18 00:43 23,396 --a------ C:\WINDOWS\system32\drivers\klopp.dat 2007-12-14 21:00 . 2007-12-14 21:00 67 --a------ C:\WINDOWS\cdplayer.ini 2007-12-13 13:28 . 2007-12-13 13:28 24,592 --a------ C:\WINDOWS\system32\drivers\klim5.sys 2007-12-06 21:24 . 2008-01-30 13:31 54,156 --ah----- C:\WINDOWS\QTFont.qfn 2007-12-03 20:24 . 2007-12-03 20:24 d-------- C:\Documents and Settings\All Users\Application Data\Adobe Systems 2007-12-03 20:15 . 2007-12-03 20:15 d-------- C:\Program Files\Fichiers communs\Adobe Systems Shared . (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M )))))))))))))))))))))))))))))))))))))))))))))))) . 2008-01-30 12:09 --------- d-----w C:\Program Files\Mozilla Thunderbird 2008-01-29 16:27 --------- d-----w C:\Program Files\eMule 2008-01-29 15:34 --------- d-----w C:\Program Files\Google 2008-01-29 15:31 --------- d--h--w C:\Program Files\InstallShield Installation Information 2008-01-29 13:08 --------- d-----w C:\Documents and Settings\All Users\Application Data\NCH Swift Sound 2008-01-29 13:07 --------- d-----w C:\Program Files\NCH Swift Sound 2008-01-29 13:07 --------- d-----w C:\Documents and Settings\Cyril\Application Data\NCH Swift Sound 2008-01-23 18:50 --------- d-----w C:\Program Files\Winamp 2008-01-17 20:36 --------- d-----w C:\Program Files\QuickTime 2007-12-26 16:01 --------- d-----w C:\Program Files\Java 2007-12-23 13:48 --------- d-----w C:\Documents and Settings\Cyril\Application Data\U3 2007-12-03 20:23 --------- d-----w C:\Program Files\Fichiers communs\Adobe 2007-01-02 16:36 643,129 ----a-w C:\Program Files\unins000.exe 2007-01-02 16:36 2,219 -c--a-w C:\Program Files\unins000.dat . ((((((((((((((((((((((((((((((((( Point de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))) . . REGEDIT4 *Note* les ‚l‚ments vides & les ‚l‚ments initiaux l‚gitimes ne sont pas list‚s [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-05 13:00 15360] "WinMem"="C:\Program Files\WinCleaner Memory Optimizer\WinMemOpt.exe" [2006-04-02 08:09 706431] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "AppleTime"="C:\WINDOWS\system32\AppleTime.exe" [2006-07-14 17:18 65536] "Brightness"="C:\WINDOWS\system32\Brightness.exe" [2006-09-26 17:17 172032] "Apple_KbdMgr"="C:\Program Files\Apple Keyboard Support\KbdMgr.exe" [2006-10-24 17:38 315392] "BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-05 13:00 110592 C:\WINDOWS\system32\bthprops.cpl] "Adobe Photo Downloader"="C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe" [ ] "vspdfprsrv.exe"="C:\Program Files\Visage\PDF Printer\vspdfprsrv.exe" [2004-07-14 22:33 905216] "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496] "Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2007-01-23 14:44 101136 C:\WINDOWS\KHALMNPR.Exe] "Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 19:51 39792] "QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2008-01-10 15:27 385024] "iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2008-01-15 03:22 267048] "AVP"="C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" [2008-01-29 21:01 227856] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-05 13:00 15360] [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system] "EnableLUA"= 0 (0x0) [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\sglfb.sys] @="Driver" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal ga.sys] @="Driver" R2 KeyAgent;KeyAgent;C:\WINDOWS\system32\drivers\KeyAgent.sys [2006-10-24 17:38] R2 keymagic;USB Keyboard HID Filter;C:\WINDOWS\system32\DRIVERS\KeyMagic.sys [2006-10-24 17:38] R3 aapltctp;Apple Trackpad filter;C:\WINDOWS\system32\DRIVERS\aapltctp.sys [2006-10-19 11:15] R3 aapltp;Apple Trackpad Driver;C:\WINDOWS\system32\DRIVERS\aapltp.sys [2006-10-19 11:15] R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\system32\DRIVERS\klim5.sys [2007-12-13 13:28] R3 StartupDiskDriver;StartupDiskDriver;C:\WINDOWS\system32\DRIVERS\StartupDiskDriver.sys [2006-09-26 17:20] S3 ArcGIS License Manager;ArcGIS License Manager;C:\PROGRA~1\ESRI\License\arcgis9x\lmgrd.exe [1999-12-01 12:38] S3 BLUETOOTH_KICKER;Apple Bluetooth Kicker Driver;C:\WINDOWS\system32\Drivers\BthKicker.sys [2006-08-24 23:45] S3 iSightUpdate;iSight Update Driver;C:\WINDOWS\system32\DRIVERS\iSightUP.sys [2006-09-05 14:08] S3 NPF;NetGroup Packet Filter Driver;C:\WINDOWS\system32\drivers pf.sys [2007-06-29 01:01] S3 usbscan;Pilote de scanneur USB;C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-03 21:58] S3 USBSTOR;Pilote de stockage de masse USB;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-03 23:08] [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9d515e78-b6b7-11db-b256-0017f2499c5c}] \Shell\AutoRun\command - E:\LaunchU3.exe . Contenu du dossier 'Scheduled Tasks/Tƒches planifi‚es' "2008-01-17 20:09:04 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job" - C:\Program Files\Apple Software Update\SoftwareUpdate.exe . ************************************************************************** catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-01-30 13:32:04 Windows 5.1.2600 Service Pack 2 NTFS Balayage processus cach‚s ... Balayage cach‚ autostart entries ... Balayage des fichiers cach‚s ... Scan termin‚ avec succŠs Les fichiers cach‚s: 0 ************************************************************************** . ------------------------ Other Running Processes ------------------------ . C:\WINDOWS\system32\brss01a.exe C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Program Files\Bonjour\mDNSResponder.exe C:\Program Files\EPFL\VPN Client\cvpnd.exe C:\WINDOWS\system32\STacSV.exe C:\Program Files\Canon\CAL\CALMAIN.exe C:\WINDOWS\system32\wscntfy.exe C:\WINDOWS\system32\Brightness.exe C:\Program Files\Apple Keyboard Support\KbdMgr.exe C:\WINDOWS\system32 undll32.exe C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe C:\Program Files\Visage\PDF Printer\vspdfprsrv.exe C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\Logitech\SetPoint\SetPoint.exe C:\Program Files\Fichiers communs\Logitech\khalshared\KHALMNPR.EXE C:\Program Files\iPod\bin\iPodService.exe . ************************************************************************** . Temps d'accomplissement: 2008-01-30 13:35:37 - machine was rebooted [Cyril] ComboFix-quarantined-files.txt 2008-01-30 12:35:32 . 2008-01-09 10:44:03 --- E O F ---

cyril · Answer

je viens de lancer une analyse avec bitdefender online (ton permier conseil)

Utilisateur anonyme · Answer

Non non , laisse tomber BITDefender pour l'instant , refait ELIBAGLA stp.

A+

cyril · Answer

ok je lance ca et je mange une morce... suis de retour dans 15 min

merci en tout ca jusqu'ici ya du progres !!!

Utilisateur anonyme · Answer

Re

Combofix est très efficace ^^

A tt

cyril · Answer

Ca a l'air clean !
je ne peux toujours pas lancer d'antivirus par contre....



	  Wed Jan 30 13:49:26 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Acción Directa):

	  Wed Jan 30 13:49:30 2008
EliBagle v10.93  (c)2008 S.G.H. / Satinfo S.L.
----------------------------------------------
Lista de Acciones (por Exploración):
Explorando Unidad C:\

Nº Total de Directorios:   9213
Nº Total de Ficheros:      101848
Nº de Ficheros Analizados: 12804
Nº de Ficheros Infectados: 0
Nº de Ficheros Limpiados:  0

Utilisateur anonyme · Answer

Re

Réinstalle ton anti-virus stp :)

a+

cyril · Answer

je viens de désinstaller kaspersky que j'avais essayé d'installer pendant que j'avais le virus.
il me demande de reboot
je clique ok
il me fait un écran bleu...

je vais ressayer

Utilisateur anonyme · Answer

Ok tiens moi au courant ;)

a+

cyril · Answer

Kaspersky est installé.
il a détecté un Bagle.iw dans winmemopt.exe
il a fait un nettoyage et a redémarré
je fait une analyse complète du disk

Je crois qu'on touche à la fin !

Utilisateur anonyme · Answer

Nickel ;)

Tiens moi au courant aprés le redémarrage =)

A+

cyril · Answer

Voila voila,

Problème résolu !

après scan AVP et nétoyage de 3 autres bagles, le problème semble clos...

Merci beaucoup Cyril pour ton aide, j'ai gagné beaucoup de temps  !
Heureusement qu'il y a des gens que ca ammuse plus d'aider les autres que de les faire chier en codant des virus ;)

Bravo

Utilisateur anonyme · Answer

Nickel =D

Ben en tout cas de rien , ça m'a fait plaisir =)

A+ et bonne continuation ^^

Infecté par le virus win32 : Beagle - YN

36 réponses

Discussions similaires

Newsletters